Un repository di build è bastato per esporre chiavi cloud vive
Il problema non è un leak di codice. È che un repository di build e deployment può contenere anche le credenziali che danno accesso al piano di controllo, e una copia finita su un account GitHub personale diventa un varco diretto verso ambienti cloud e di sviluppo. Qui l’errore non sta nella base di codice: sta nell’idea che un artefatto IaC sia solo sorgente e non anche segreto operativo.
CISA ha confermato che un contractor ha caricato nel proprio repository personale una copia del repository di build e deployment, includendo credenziali di amministratore, build credentials e chiavi AWS GovCloud. I log non hanno mostrato uso autorizzato delle credenziali e l’agenzia dice che non risultano esposti dati di missione o di clienti; il punto, però, è che la superficie d’impatto era il legame tra repository, account GitHub personale e infrastruttura cloud.
Per chi gestisce repository IaC o accessi AWS GovCloud, la lezione è che la compromissione può passare da un contenitore di lavoro apparentemente tecnico a chiavi ancora valide e ad alto privilegio. Se quel repository può essere copiato fuori dal perimetro ufficiale, il problema non è più il solo codice: è la fiducia riposta nei contenuti del repository stesso.